Gumagana ang handshake ng WireGuard, hindi ang serbisyo

Natapos ang handshake, nagpapakita ang kliyente ng kamakailang counter ng paglilipat, at nabibigo pa rin ang isang kahilingan sa serbisyo sa parehong server. Nakakalito ang kombinasyong ito dahil kitang-kitang gumagana ang tunnel. Ang hindi pa napatunayan ay ang lokal na paghahatid: umabot ang packet sa host, at kailangan pa rin ng host na tanggapin ito sa tamang socket at ipasa sa isang prosesong may pahintulot na sumagot. Suriin ang tatlong checkpoint na iyon nang sunud-sunod.

Huminto sa unang hindi umiiral, at huwag magdagdag ng panuntunan para sa iba.

Ang handshake ay nagpapatunay lamang ng tunnel

Ang handshake ng WireGuard ay nagtatatag ng mga key sa pagitan ng mga peer at nagpapahintulot ng trapiko para sa mga saklaw na inilista ng bawat peer. Wala itong sinasabi tungkol sa kung aling mga proseso ang nakikinig sa server, at wala rin tungkol sa kung tinatanggap ng firewall ng host ang mga packet na naka-address sa isa sa sarili nitong address.

Ang huling pagkakaibang iyon ang pinakamadalas mapalampas: ang trapikong papunta sa host mismo ay lokal na input, samantalang ang trapikong dumadaan sa host patungo sa ibang lugar ay forwarding. Iba ang humahawak sa kanila na mga firewall chain at iba ang mga setting. Ang pagsuri sa maling chain ay kumakain ng isang hapon at nagbabalik ng mga counter na mukhang inosente.

Basahin ang nakikinig at ang ruta

Sa kliyente, tiyakin na ang tunnel address ng server ay naka-route papasok sa tunnel. Sa server, tiyakin na may socket sa address na ginagamit ng kliyente, at ang prosesong nasa likod nito ay ang nilayon.

wg show
ip route get 10.66.0.1
ss -lntup | grep -E ':80|:443'
nft list ruleset | grep -A6 'chain input'
curl -vk --max-time 5 https://10.66.0.1/

Ang nakikinig sa 127.0.0.1 ay hindi kailanman sasagot sa kahilingang naka-address sa 10.66.0.1, anuman ang pinapayagan ng firewall. Ang nakikinig sa pangkalahatang address ay sasagot, maliban kung may panuntunang humaharang. Kaya ang listahan ng socket ay nagpapasya sa kalahati ng mga kaso bago pa suriin ang anumang panuntunan. Port at address ang magkasamang nagpapasya kung makakaabot ang isang kahilingan.

Ihambing ang address na ginagamit ng kliyente sa address na aktwal na taglay ng server sa interface ng tunnel. Ang lumang konfigurasyon sa alinmang panig ay gumagawa ng kahilingang naka-route nang tama patungo sa peer na walang ganoong address.

Gamitin ang mga panuntunan para sa lokal na input, hindi para sa forwarding

Kung umabot ang packet at umiiral ang socket, ang natitirang hangganan ay ang patakaran sa input. Ang panuntunang nagpapahintulot ng forwarding ay hindi nagpapahintulot ng lokal na paghahatid, at ang panuntunang limitado sa isang interface ay maaaring hindi tumugma sa inaasahang pangalan ng interface ng tunnel.

Subukan gamit ang isang pinapayagang port patungo sa nilalayong serbisyo sa halip na buksan ang host. Pagkatapos suriin ang sariling awtorisasyon ng aplikasyon: ang listahan ng pinapayagan, pangangailangan ng account o pagtali sa isang partikular na hostname ay maaaring tumanggi sa kahilingang matagumpay na naihatid ng network.

Panatilihin ang mga pagsusuri ng sertipiko. Ang di-inaasahang pagkakakilanlan ng sertipiko ay impormasyon tungkol sa kung aling host ang sumagot, hindi hadlang na lalampasan. Ang pag-click lampas dito ay nagtatago ng nag-iisang bakas na kumikilala sa maling serbisyo.

Paghiwalayin ang mga kabiguan sa pangalan, laki at pagkakakilanlan

Ang serbisyong gumagana sa address ngunit nabibigo sa pangalan ay problema sa DNS, at ang pagwawasto ay nasa konfigurasyon ng resolver na ipinapadala sa kliyente, hindi sa firewall. Ang serbisyong sumasagot sa maliliit na kahilingan ngunit natigil sa mas malalaking tugon ay tumutukoy sa laki ng packet at MTU, na isang ganap na ibang imbestigasyon.

Ang error sa HTTPS na nagngangalan ng maling host ay karaniwang nangangahulugang naabot ng kahilingan ang ibang serbisyo, kadalasan dahil pagmamay-ari ng proxy o ng ibang nakikinig ang port na iyon. Basahin ang subject ng sertipiko at ihambing sa host na nais marating. Walang gastos ang paghahambing na iyon at kadalasan natatapos nito ang imbestigasyon.

Itala kung aling checkpoint ang nabigo: socket, panuntunan sa input o patakaran ng aplikasyon. Ang nag-iisang linyang iyon ay naghihiwalay ng sira ng network mula sa pasya ng awtorisasyon. Pinipigilan din nito ang susunod na tao na magbukas ng mga port na hindi kailanman naging problema.